細かなアクセス制御の方法（ＡＣＬの使い方）　→ English

ケーススタディ

ＡＣＬを皆さんに使って頂きたいのは、以下のような場合です。

• ｗｅｂサーバーでのａｐａｃｈｅユーザーのアクセス権

ｗｅｂサーバーで不特定の人に見せたくないコンテンツを .htaccess ファイルでアクセス制御して 特定の人だけに見せるようにする事は、多くの人が経験していると思います。 しかし、この方法ではｗｅｂサーバーにアクセスしてくる人はそうできますが、 ｍｉｈｏのアカウントを持っている人には効果はありません。 ｍｉｈｏのアカウント所有者はｍｉｈｏにログインして直接ファイルにアクセスする事ができるからです。 この場合は、ｕｎｉｘ（ｌｉｎｕｘ）の通常のファイルパーミッションに従ってアクセス制御が行われ、 パーミッションコードで許されていれば、結果としてファイルを見る事ができます。

ファイルはａｐａｃｈｅが読めなければいけませんので、多くの人は chmod o+r をしていると思いますが、 これだとｍｉｈｏのアカウント所有者は誰でも読めてしまいます。これは意図に反するでしょう。

ファイル（またはそれが含まれるディレクトリ）は、ａｐａｃｈｅ（と自分）だけがアクセスできれば、 ファイルを編集でき、ｗｅｂで条件付きの公開ができます。決してｍｉｈｏのユーザー全員に見せる必要はありません。 これはＡＣＬを設定すれば、そう機能させることができます。

ＰＨＰ等のスクリプトを使用する場合は、もっとひどい状態になっているかも知れません。 スクリプトで何らかのファイルを作成する場合は、ａｐａｃｈｅはそのファイルに書込権限を持っている必要があります。 ＡＣＬを使わないと chmod o+rw としているかも知れません。これは大変危険な状態である事は分かるでしょう。 悪意がなくても事故が起こるかも知れません。

ａｐａｃｈｅに対して適切な読出権、書込権を設定して安全で意図通りの動作をするようにすべきです。

• 少数の特定のユーザーにだけ、読出し、書込みをさせたい

少数の特定のユーザーにだけ、読出しを許可したい、場合によっては、書込みを許可したい場合、 ＡＣＬを使わないと chmod o+r とか、chmod o+rw とかしていて、 他のユーザーにもアクセスを許可してしまっているのは、大変危険な状態です。

特定のユーザーにだけ必要なアクセス権を適切に設定するべきです。 ＡＣＬを使えばこれが実現できます。

• グループに関する注意

ＲＣＮＰでは全ての人は alluser というグループに入っています。 従って、alluser グループに対するアクセス権と、その他のユーザー（o）に対するアクセス権は実質上、同じです。 アクセスをグループに限定しても限定している事にはなりません。

スパコンではＲＣＮＰのユーザーは、rcnpグループに属しています。これは上記の alluser と同じです。 従って、アクセスをグループに制限してもrcnpのユーザーに制限するだけで、上記と同じ事になります。

スパコンではその他のユーザー（o）は、ＣＭＣの全てのユーザーを意味します。 「その他のユーザー」に許可をすると、ＲＣＮＰユーザーだけでなく、ＲＣＮＰ以外の全てのユーザーにも許可している事になりますので その設定はしないようにして下さい。 ＲＣＮＰのアカウントとは別にＣＭＣのアカウントを持っている場合には、 ＡＣＬを使って許可をするのが安全な設定方法です。

ＡＣＬの機能

ＡＣＬでは、設定するアクセス権は、ｃｈｍｏｄコマンドと同様に、ｒｗｘの３種類です。

アクセスを許可する人を個別に複数、設定できます。ｃｈｍｏｄでは、自分、グループ、全体の３種類しかありませんでしたが、 「あるユーザー」というのを複数設定できます。実は、「自分」もこれの１つの場合になります。

ＡＣＬはｃｈｍｏｄで設定するのと両立はできないと考えて下さい。 ＡＣＬを設定している状態で、ｃｈｍｏｄの設定を行うと、多くの場合は、上書きされて、ＡＣＬの機能が失われます。

ＡＣＬのコマンド

• 特定のユーザーに読出権を与える

% setfacl -m u:ユーザー名:r ファイル名

例

% setfacl -m u:yikeda:r b.txt

複数のユーザーに読出権を与える場合は、このコマンドを別のユーザー名を指定して繰り返して下さい。 ＡＣＬは、基本的にアクセス権を指定する「リスト」に新しいリストを加えます。 消去のコマンドは別に述べます。
• 特定のユーザーに書込権と読出権を与える

% setfacl -m u:ユーザー名:rw ファイル名

例

% setfacl -m u:ishiin:rw c.txt

複数のユーザーに読書権を与える場合は、このコマンドを別のユーザー名を指定して繰り返して下さい。 読出権だけを与えるコマンドと併用できます。
• ＡＣＬの設定を見る

lsコマンドで以下のようになっている（抜粋）とします。

-rw-------   1 togawa alluser      8 11月 29 12:29 2016 a.txt
-rw-r-----+  1 togawa alluser      8 12月  2 19:24 2016 b.txt
-rw-rwx---+  1 togawa alluser      2 12月  2 20:40 2016 c.txt
-rw-rwx---+  1 togawa alluser      2 12月  2 20:40 2016 d.txt

• a.txt はＡＣＬは設定されていません。
• b.txt, c.txt, d.txt にはＡＣＬが設定されています。 拡張属性が付いている事が＋記号で分かります。 ＡＣＬが設定されている場合、パーミッションコードの表記はＡＣＬがない場合と意味が異なります。 この場合、グループに対してアクセス権があるように見えますが、「グループ全員にアクセス権がある」という通常の意味ではありません。 実際の意味はＡＣＬを表示させないと分かりません。

ＡＣＬを表示させるには以下のようにコマンドを使います。

% getfacl ファイル名

例です。右の解説を読んで下さい。

% getfacl b.txt
# file: b.txt        ファイル名です。
# owner: togawa      オーナーは togawa です。
# group: alluser     グループは alluser です。
user::rw-            オーナーのアクセス権は rw- です。
user:yikeda:r--      ユーザー yikeda に読出しを許可します。
group::---           グループのアクセス権はありません。ｌｓコマンドの表示と異なるように見える事に注意して下さい。
mask::r--            ＡＣＬを設定した時のマスクです。この意味は初心者は知らなくても困りません。
other::---           その他のユーザーのアクセス権はありません。

この場合、group と other にアクセス権が全くありませんから、 オーナーの togawa と、許可された yikeda の２名だけがアクセスできます。 togawa は読出しと書込みができますが、yikeda は読出しだけができます。
次の例も見て下さい。

% getfacl c.txt
# file: c.txt
# owner: togawa
# group: alluser
user::rw-
user:ishiin:rwx    ユーザー ishiin に読出し、書込み、実行権を許可します。
group::---
mask::rwx
other::---

# file: d.txt
# owner: togawa
# group: alluser
user::rw-
user:yikeda:rwx    ユーザー yikeda に読出し、書込み、実行権を許可します。
user:ishiin:rwx    ユーザー ishiin に読出し、書込み、実行権を許可します。
group::---
mask::rwx
other::---

最後の例では、ーナーの togawa、ユーザー yikeda, ishiin の計３名がファイルに読書きでき、他の人は見る事すらできません。
• ＡＣＬを消去する

設定済みのリスト１つだけを消去する

% setfacl -x u:yikeda:r b.txt

全てのＡＣＬを消去する

% setfacl -X b.txt

• ＡＣＬを丸ごとコピー

ＡＣＬの設定を１つづつ行うと、数が多い場合は大変です。 あるファイルのＡＣＬをテキストファイルとして保存しておき、 それを使って別のファイルのＡＣＬを設定する事ができます。 更に、そのファイルを保存しておく必要がない場合、ＰＩＰＥを使ってＡＣＬをコピーする事ができます。

% getfacl ファイル１ | setfacl --set-file=- ファイル２

ファイル１に設定されているＡＣＬと同じものを、ファイル２に設定する。 ファイル２に既存のＡＣＬがあっても、それは消去されたうえで、ファイル１のＡＣＬが設定されます。
• ＡＣＬはディレクトリに関しても同様に設定できます

ＡＣＬはディレクトリに関しても同様に設定できます。

ファイルのＡＣＬを設定しても、その上位のディレクトリへのアクセス権がなければ そのファイルへのアクセスはできません。これは普通のパーミッションの設定の 場合と同じです。

• この文書はＡＣＬのごく一部の機能を使って、有益なアクセス制御をする世界に皆さんを導くのが目的です。 より詳しいＡＣＬの使い方については、ｍａｎを参照て下さい。